Singpass Passkeys ทำงานอย่างไร และใครใช้ได้บ้าง

Singpass ซึ่งเป็นแพลตฟอร์มยืนยันตัวตนดิจิทัลระดับชาติของสิงคโปร์ เปิดตัว passkeys เป็นทางเลือกใหม่สำหรับการเข้าสู่ระบบ โดยไม่ต้องกรอกรหัสผ่าน รหัสใช้ครั้งเดียวผ่าน SMS หรืออนุมัติการเข้าสู่ระบบด้วย QR

ช่วงเบตาเริ่มวันที่ 1 กรกฎาคม 2026 สำหรับผู้ใช้ iPhone หรือ iOS ที่เข้าสู่ระบบผ่านเบราว์เซอร์บนมือถือ ส่วน Android และการล็อกอินผ่านคอมพิวเตอร์ตั้งโต๊ะหรือแล็ปท็อปจะเปิดให้ใช้ในระยะถัดไป

จุดสำคัญของ passkey ไม่ใช่การเพิ่ม “รหัสลับ” อีกชุดที่มิจฉาชีพอาจขโมยได้ แต่เป็นการใช้ข้อมูลรับรองแบบเข้ารหัสที่ผูกกับอุปกรณ์และบริการ Singpass จริง จึงต้านทานการหลอกเอาข้อมูลหรือฟิชชิงได้มากกว่าวิธีเดิม

Passkey ต่างจากรหัสผ่านและ OTP อย่างไร

การเข้าสู่ระบบแบบเดิมอาจเปิดโอกาสให้ข้อมูลที่นำกลับไปใช้ซ้ำถูกขโมยได้ เช่น

• รหัสผ่านอาจถูกคัดลอก
• OTP อาจถูกหลอกให้บอกหรือถูกส่งต่อไปยังมิจฉาชีพ
• QR Code อาจถูกดัดแปลงให้ผู้ใช้อนุมัติการเข้าสู่ระบบที่มิจฉาชีพเป็นผู้เริ่มต้น

Passkey เปลี่ยนรูปแบบการแลกเปลี่ยนข้อมูล โดยระหว่างการยืนยันตัวตนจะไม่มีการพิมพ์หรือส่งรหัสผ่านและ OTP ออกไป

ผู้ใช้ยังต้องยืนยันว่าเป็นผู้ควบคุมอุปกรณ์จริงด้วยไบโอเมตริกหรือรหัสผ่านอุปกรณ์ แต่เว็บไซต์จะไม่เห็นข้อมูลใบหน้า ลายนิ้วมือ หรือกุญแจส่วนตัวของผู้ใช้ เว็บไซต์จะได้รับเพียงคำตอบทางเข้ารหัสที่ตรวจสอบได้ และไม่สามารถนำกลับไปใช้แทนรหัสผ่านได้

กุญแจสาธารณะและกุญแจส่วนตัวทำงานอย่างไร

ในขั้นตอนลงทะเบียน iPhone จะสร้างคู่กุญแจเข้ารหัสที่ไม่ซ้ำกันขึ้นมา ได้แก่

• กุญแจส่วนตัว (private key) อยู่บนอุปกรณ์ที่ลงทะเบียนไว้ และใช้สร้างลายเซ็นดิจิทัล
• กุญแจสาธารณะ (public key) ที่เป็นคู่กันจะถูกลงทะเบียนไว้กับ Singpass เพื่อใช้ตรวจสอบลายเซ็น
• เมื่อเข้าสู่ระบบ Singpass จะส่งคำท้าทายใหม่ให้โทรศัพท์
• โทรศัพท์จะลงลายเซ็นตอบกลับก็ต่อเมื่อผู้ใช้อนุมัติด้วย Face ID, Touch ID หรือลูกกุญแจรหัสผ่าน 6 หลักของแอป Singpass
• Singpass จะใช้กุญแจสาธารณะที่จัดเก็บไว้ตรวจสอบคำตอบนั้น

ในทางเทคนิค นี่คือการใช้การเข้ารหัสแบบกุญแจสาธารณะเพื่อยืนยันตัวตน มากกว่าจะเป็นเพียง “การแลกเปลี่ยนกุญแจเข้ารหัส” ธรรมดา กุญแจส่วนตัวจะไม่ถูกส่งไปยัง Singpass และกุญแจสาธารณะเพียงอย่างเดียวไม่เพียงพอสำหรับการปลอมตัวเป็นผู้ใช้

มาตรฐาน FIDO อธิบายแนวคิดนี้ว่าเป็นการยืนยันตัวตนที่ผูกกับต้นทางหรือโดเมนของบริการจริง กล่าวคือข้อมูลรับรองจะเชื่อมโยงกับโดเมน Singpass ที่ถูกต้อง เว็บไซต์เลียนแบบจึงไม่สามารถขอคำตอบที่นำไปใช้เข้าสู่ระบบ Singpass ได้

ดังนั้น แม้ผู้ใช้จะเผลอเปิดหน้าเข้าสู่ระบบ Singpass ปลอม มิจฉาชีพก็จะไม่ได้รหัสผ่าน OTP QR approval หรือคำตอบเข้ารหัสที่นำกลับไปใช้ซ้ำได้

ใครใช้ Singpass passkeys ได้บ้างในช่วงเปิดตัว

การเปิดให้ใช้งานระยะแรกยังจำกัดอยู่ในวงแคบ ดังนี้

• ผู้ใช้ iPhone และ iOS: ใช้ได้ตั้งแต่วันที่ 1 กรกฎาคม 2026 ผ่านเบราว์เซอร์บนมือถือ
• ผู้ใช้ Android: มีแผนรองรับในระยะถัดไป
• แล็ปท็อปและคอมพิวเตอร์ตั้งโต๊ะ: การล็อกอินผ่านเบราว์เซอร์บนเดสก์ท็อปยังเลื่อนไปเปิดในระยะต่อไป

นั่นหมายความว่า ผู้ใช้ iPhone อาจใช้ passkey กับการเข้าสู่ระบบผ่านมือถือที่รองรับได้แล้ว แต่ไม่ควรคาดหวังว่าบริการ Singpass ทุกแห่งหรืออุปกรณ์ทุกประเภทจะมีตัวเลือกนี้ทันที

วิธีลงทะเบียน Singpass passkey

สำหรับการเปิดตัวบน iPhone ขั้นตอนการสร้าง passkey ทำผ่านแอป Singpass โดยมีขั้นตอนหลักดังนี้

1. อัปเดตแอป Singpass ให้เป็นเวอร์ชันล่าสุด
2. เปิดแอป แล้วเลือกแบนเนอร์ passkey บนหน้าหลัก
3. ทำตามคำแนะนำบนหน้าจอเพื่อสร้าง passkey

หลังลงทะเบียนแล้ว ผู้ใช้จะยืนยันตัวตนในเครื่องด้วย Face ID, Touch ID หรือลายนิ้วมือ หรือใช้รหัสผ่านแอป Singpass 6 หลัก ขึ้นอยู่กับอุปกรณ์และการตั้งค่าที่ใช้งานอยู่ โดยไม่ต้องพิมพ์รหัสผ่าน Singpass ลงในเว็บไซต์ที่เข้าร่วม

ทำไม Bluetooth จึงสำคัญเมื่อล็อกอินข้ามอุปกรณ์

การล็อกอินข้ามอุปกรณ์ เช่น ใช้โทรศัพท์เพื่อเข้าสู่ระบบบนคอมพิวเตอร์ ทำให้เกิดความเสี่ยงอีกแบบ เพราะมิจฉาชีพอาจพยายามหลอกให้เหยื่ออนุมัติการเข้าสู่ระบบบนเครื่องที่มิจฉาชีพควบคุมอยู่

ในกรณีนี้ Singpass สามารถใช้การตรวจสอบระยะใกล้ผ่าน Bluetooth เพื่อยืนยันว่าโทรศัพท์ที่ลงทะเบียน passkey อยู่ใกล้กับอุปกรณ์ที่กำลังร้องขอการเข้าสู่ระบบจริง

การตรวจสอบระยะใกล้ไม่ได้มาแทนที่การตรวจสอบด้วยคู่กุญแจ แต่เป็นหลักฐานเพิ่มเติมว่าโทรศัพท์ซึ่งถือกุญแจ passkey อยู่ในบริเวณเดียวกัน วิธีนี้ทำให้การโจมตีจากระยะไกลทำได้ยากขึ้น เช่น กรณีที่มิจฉาชีพส่ง QR Code ให้เหยื่อและคอยบอกทีละขั้นตอนให้กดยืนยัน ขณะที่ตัวมิจฉาชีพกำลังดำเนินการอยู่บนอุปกรณ์อีกเครื่องหนึ่ง

เหตุใดรหัสผ่าน QR และวิธีเดิมยังไม่หายไป

Passkey ยังเป็นวิธีเข้าสู่ระบบเพิ่มเติมในช่วงเบตา ไม่ใช่การเปลี่ยนระบบทั้งหมดในทันที วิธีเดิมจึงยังจำเป็นสำหรับผู้ที่ไม่มี iPhone ที่รองรับ ผู้ที่ยังไม่ได้ลงทะเบียน รวมถึงบริการหรืออุปกรณ์ที่ยังไม่อยู่ในขอบเขตการเปิดตัวแบบเป็นระยะ

วิธีเดิมยังมีประโยชน์ในด้านการเข้าถึงและความครอบคลุม แต่ความปลอดภัยต้องพึ่งพาพฤติกรรมของผู้ใช้มากกว่า ผู้ใช้อาจถูกหลอกให้เปิดเผยรหัสผ่านหรือ OTP สแกน QR ปลอม หรืออนุมัติคำขอที่ไม่คาดคิดได้ ตำรวจสิงคโปร์ยังเตือนประชาชนไม่ให้เปิดเผยรหัสผ่าน Singpass หรือข้อมูล 2FA แก่บุคคลที่ไม่รู้จัก

Passkey ช่วยลดข้อมูลสำคัญที่มิจฉาชีพสามารถหลอกเอาไปได้ แต่ไม่ได้ทำให้กลโกงทุกประเภทหายไป มิจฉาชีพยังอาจปลอมเป็นหน่วยงาน หลอกให้เปิดเผยข้อมูลส่วนตัว หรือพยายามโจมตีกระบวนการกู้คืนบัญชีและยึดบัญชีได้

ความเชื่อมโยงกับมาตรฐาน FIDO

การออกแบบของ Singpass สอดคล้องกับแนวคิดการเข้ารหัสแบบกุญแจสาธารณะที่ผูกกับต้นทาง ซึ่งเป็นแนวทางของมาตรฐาน FIDO และ WebAuthn โดย FIDO2 เป็นมาตรฐานเปิดสำหรับการยืนยันตัวตนที่ใช้ข้อมูลรับรองแบบเข้ารหัสซึ่งต้านทานฟิชชิง แทนการพึ่งพาความลับที่นำกลับมาใช้ซ้ำได้

ความเป็นมาตรฐานเปิดมีความสำคัญ เพราะ passkey ถูกออกแบบให้ทำงานร่วมกับระบบยืนยันตัวตนในวงกว้าง ไม่ใช่รูปแบบล็อกอินเฉพาะของบริษัทใดบริษัทหนึ่ง FIDO Alliance ระบุว่า passkey คือข้อมูลรับรองที่ผูกกับบัญชีบนเว็บไซต์หรือแอป และอาจจัดเก็บไว้ในโทรศัพท์ คอมพิวเตอร์ หรือกุญแจความปลอดภัยฮาร์ดแวร์ ทั้งนี้ขึ้นอยู่กับการรองรับของแต่ละบริการและช่วงเวลาการเปิดตัว

สำหรับ Singpass ประโยชน์ที่ผู้ใช้เห็นได้ชัดคือการผูกข้อมูลรับรองไว้กับโดเมนจริง ระบบยืนยันตัวตนจึงควรตอบสนองต่อบริการ Singpass ที่ถูกต้อง ไม่ใช่เว็บไซต์ฟิชชิงที่มีหน้าตาคล้ายกัน

ตัวเลขฟิชชิงที่อยู่เบื้องหลังการเปลี่ยนแปลง

สิงคโปร์รายงานคดีหลอกลวงทั้งหมด 37,308 คดี และความเสียหายประมาณ 913.1 ล้านดอลลาร์สิงคโปร์ ในปี 2025 ตัวเลขนี้ครอบคลุมการหลอกลวงทุกประเภท ไม่ใช่เฉพาะฟิชชิง

ข้อมูลสถิติประจำปีที่เผยแพร่ผ่านช่องทางข้อมูลการหลอกลวงของสิงคโปร์ระบุแยกกันว่า ในปี 2025 มีคดีฟิชชิง 6,264 คดี และมูลค่าความเสียหาย 39.9 ล้านดอลลาร์สิงคโปร์

ตัวเลขดังกล่าวสะท้อนว่าฟิชชิงเป็นส่วนสำคัญของปัญหาการหลอกลวงโดยรวม แต่ไม่ควรตีความว่าความเสียหายจากการหลอกลวงทั้งหมดเกิดจากการขโมยข้อมูล Singpass

ดังนั้น เป้าหมายของ passkey จึงค่อนข้างเฉพาะเจาะจง นั่นคือทำให้ขั้นตอนที่มิจฉาชีพพยายามขโมยข้อมูลรับรองจากการฟิชชิงมีประโยชน์น้อยลง ผู้ใช้ยังต้องตรวจสอบเว็บไซต์ให้แน่ใจ ปฏิเสธคำขอเข้าสู่ระบบที่ไม่คาดคิด และไม่เปิดเผยข้อมูล Singpass โดยเฉพาะในช่วงที่วิธีการยืนยันตัวตนแบบเดิมยังเปิดให้ใช้งานอยู่